PT-2021-14476 · Ampache · Ampache

Lachlan-00 · Publicado 2021-04-13 · Atualizado 2022-10-21 · CVE-2021-21399

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Ampache anteriores à 4.4.1

Descrição

A vulnerabilidade permite o acesso não autenticado ao Ampache por meio da API do Subsonic. Para explorar essa vulnerabilidade, um invasor deve usar um username que não faça parte do site para contornar as verificações de autenticação.

Recomendações

Para versões anteriores à 4.4.1, atualize para a versão 4.4.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à API Subsonic até que um patch seja aplicado. Evite usar valores de username desconhecidos ou não verificados na API Subsonic para minimizar o risco de exploração.

Exploit

Correção

Improper Authentication

Improper Access Control

Enumeração de Fraquezas

CWE-287

CWE-284

Identificadores relacionados

CVE-2021-21399

GHSA-P9PM-J95J-5MJF

Produtos afetados

Ampache

Referências · 6

• 🔥 https://github.com/ampache/ampache/security/advisories/GHSA-p9pm-j95j-5mjf · Exploit
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-21399 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-21399 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-21399 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21399 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21399 · Nota de Segurança